auth-nocache жана каттоо маалыматтарынын файлы: жардам береби же зыянбы?

OpenVPN иштетилгенде auth-nocache параметрин сунуштаган эскертүү басып чыгарат, ал эми азгырган жооп — параметрди кошуп, саптын жок болушун күзөтүү. Бул кеңеш интерактивдүү кирүүнү болжолдойт. Колдонуучу аты жана сырсөз файлда жашай баштаганда, салыштыруу өзгөрөт: параметр туруктуу көчүрмөнү коргоону токтотот, ал эми артыкчылыктардан баш тарткан клиентте ал кийинчерээк кайра сүйлөшүүнү бузушу мүмкүн. Профилди оңдоодон мурун эки сактоо моделин өзүнчө кармоо жөн.

Каттоо маалыматтарынын суроосуна жооп берүүнүн эки жолу

Биринчи модель — терминалда каттоо маалыматтарын терип жаткан адам, же аларды сессия бою кармап турган башкаруу интерфейси. OpenVPN ошол көчүрмөнү сактайт, ошондуктан кийинки кайра сүйлөшүүгө кайра сурабастан жооп бере алат, жана эскертүү так ушул жөнүндө. Дискте эч нерсе катышпайт, ошондуктан коргоого тийиш жалгыз нерсе — маанини кармап турган процесс. Клиентти жапсаңыз, көчүрмө да аны менен жок болот.

Экинчи модель — файлга шилтеме кылган auth-user-pass , мында файл кампа жана клиент аны маани керек болгондо окуйт. Бул жерде маанилүү таасир — процесс эстутуму эмес, ошол файлдын уруксаттары жана ээлиги. Иштетүү эскертүүсү конфигурациядагы директивалардан келет, сырсөздү кантип бергениңизди текшерүүдөн эмес, ошондуктан ал эки моделде тең пайда болот жана эч бирине көрсөтпөйт.

Бул салыштыруунун калганы ошол бөлүнүүдөн келип чыгат: бир модель үчүн эстутумду башкаруу, экинчиси үчүн файлды башкаруу жана процесстин инсандыгы.

auth-nocache чындыгында эмнени таштайт

Интерактивдүү кирүүдө --auth-nocache колдонулгандан кийин сакталган көчүрмөнү эстутумдан алып салат. Баасы — ар бир кайра сүйлөшүү аралыгында жаңы суроо, анткени кийинки айлампа ташталганды кайра колдоно албайт.

Файлга негизделген кирүүдө клиент файлды кайра окуй алат, ошондуктан таштоо көбүнчө көрүнбөйт. Ал адамдар күтпөгөн бир жерде көрүнөт: демон артыкчылыктардан баш тарткандан кийин, эгер каттоо файлы азыр ал иштеп жаткан эсеп үчүн окула турган болбосо.

Параметрди ушул алмашууну түшүнгөндүктөн кошуңуз, эскертүү пайда болгондуктан эмес. Журналды тынчтандыруу үчүн кошулган параметр — таасирин эч ким өлчөбөгөн параметр.

Файлга негизделген жол кайда сынат

Туннель түзмөгүн ачуу үчүн root катары башталып, анан user жана group абалына өткөн клиент каттоо файлын эки жолу окуйт: бир жолу өтүүдөн мурун, бир жолу кийинки кайра сүйлөшүүдө. Эгер файл 600 режиминде болсо жана root-го таандык болсо, экинчи окуу ишке ашпайт, ал эми ийгиликсиздик бир сааттан кийин сервер көйгөйүнө окшош аутентификация катасы катары көрүнөт. Кайра сүйлөшүү аралыгынын айланасында клиент журналын текшериңиз, анан эсеп менен файлды чогуу текшериңиз.

stat -c '%a %U:%G' /etc/openvpn/client.creds
ps -o user:12,args -C openvpn | head

Эки сап тең маанилүү. Биринчиси файлды ким окуй аларын айтат, экинчиси иштеп жаткан демон чындыгында ким экенин айтат, ал эми алардын ортосундагы дал келбестик сырсөздү канча жолу кайра терсеңиз да түзөлбөй турган ийгиликсиздикти түшүндүрөт.

Практикалык оңдоолор салтанаттуу эмес: файлды демондун эсеби окуй ала турган папкага жана ээсине жылдырыңыз, же артыкчылыктуу окууну сактап, клиентиңиз бир гана жолу окуй турганын ырастаңыз. Файлды баарына окула турган кылып чечпеңиз.

Параметрди чын эле каалаган учур

Бир жолу колдонулуучу коддуу кирүү auth-nocache параметрин башка себептен каалайт. Бир жолу колдонулуучу код биринчи аутентификацияда коротулат, ошондуктан кэштеги көчүрмө кийинки кайра сүйлөшүүдө пайдасыз, ал эми эскирген маани кайра ойнотулушу да мүмкүн.

Бул каттоо маалыматынын түрү жөнүндө суроо, анын кайда сакталары жөнүндө эмес. Корголгон файлдагы статикалык сырсөздүн тескери профили бар: ал ар бир кайра сүйлөшүүдө окула турган болушу керек, ал эми керектүү коргоо файлдын өзүндө.

Бул эки себепти профиль комментарийлеринде өзүнчө кармаңыз, болбосо кийинки администратор параметр өзү тандай турган себеп менен турат деп ойлойт.

Бир чечимдеги салыштыруу

Адам бар болсо жана жаңылык маанилүү болсо, интерактивдүү моделди тандаңыз жана кайталанма суроону анын баасы катары кабыл алыңыз. Клиент көзөмөлсүз иштесе, файл моделин тандаңыз жана күч-аракетти ээликке, режимге жана артыкчылыктардан баш тартууга жумшаңыз.

Эч бир модель сакталган сырсөздү өз алдынча коопсуз кылбайт жана эч бири иштетүү эскертүүсүн маанилүү кылбайт.

Эгер эскертүү профилди ачкан жалгыз себеп болсо, түшүндүрмөсүз параметрдин ордуна чечимди жазыңыз: каттоо маалыматтары демондун эсеби окуй ала турган файлдан келет, кайра сүйлөшүүнүн ийгиликтүү өткөнү байкалды жана аралыкты өзгөртүүдөн мурун OpenVPN 2.6 колдонмосунун кайра сүйлөшүү бөлүмү окулду. Бул жазуу ар кандай жеке желегенден узак жашайт.